Zwanzig Leute
sind die Grenze.
Die Frage kommt in jedem Betrieb irgendwann: Brauchen wir so jemanden? Die Antwort hängt an einer Zahl, an der Art der Daten — und an einem dritten Fall, den viele übersehen.
Wann er benannt werden muss
Für nicht-öffentliche Stellen gilt § 38 BDSG zusätzlich zu Art. 37 DSGVO. Drei Fälle führen zur Pflicht.
- Die Zahl. Sind in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt, muss ein Beauftragter benannt werden. Gezählt werden Köpfe, nicht Vollzeitstellen — auch Teilzeitkräfte und Aushilfen, wenn sie regelmäßig am Rechner mit Kundendaten arbeiten.
- Die Kerntätigkeit. Besteht sie in umfangreicher regelmäßiger Beobachtung von Personen oder in der Verarbeitung besonderer Datenkategorien — Gesundheit, Biometrie, Religion, Gewerkschaft —, gilt die Pflicht ohne Rücksicht auf die Zahl.
- Die Datenschutz-Folgenabschätzung. Wer Verarbeitungen betreibt, die eine solche Abschätzung erfordern, braucht ebenfalls einen Beauftragten.
Was er tut
- Unterrichten und beraten — die Geschäftsführung und die Beschäftigten.
- Überwachen, ob die Vorgaben eingehalten werden.
- Beraten bei der Folgenabschätzung.
- Ansprechpartner für die Aufsichtsbehörde sein — und für Betroffene.
- Was er nicht tut: die Verantwortung übernehmen. Die bleibt bei der Geschäftsführung, immer.
Wichtig für die Praxis: Der Beauftragte darf wegen seiner Aufgabe nicht benachteiligt werden, ist weisungsfrei und genießt einen besonderen Kündigungsschutz. Das ist einer der Gründe, warum viele Betriebe die externe Lösung wählen.
Intern oder extern?
- Intern heißt: eine Person im Betrieb, die Zeit, Schulung und freie Hand bekommt. Sie darf nicht in einen Interessenkonflikt geraten — Geschäftsführung, IT-Leitung und Personalleitung scheiden deshalb aus.
- Extern heißt: ein Dienstleister übernimmt die Rolle. Kein Kündigungsschutz, kein Interessenkonflikt, laufende Fachkenntnis. Für kleine Betriebe in aller Regel der günstigere und ruhigere Weg.
- Benennung melden. Die Kontaktdaten werden der zuständigen Aufsichtsbehörde mitgeteilt und auf der Website veröffentlicht — üblicherweise in der Datenschutzerklärung.
Und wenn keine Pflicht besteht?
Dann entfällt die Benennung — nicht der Datenschutz. Alle übrigen Pflichten gelten unverändert: Verarbeitungsverzeichnis, Verträge mit Dienstleistern, Informationspflichten, Löschfristen, Meldepflicht bei Datenpannen.
- Eine Person im Betrieb als Ansprechpartner festlegen, auch ohne formale Rolle.
- Das Verzeichnis führen und einmal im Jahr durchgehen.
- Die Verträge mit allen Dienstleistern abschließen.
- Das Team einmal jährlich kurz sensibilisieren — die meisten Vorfälle entstehen aus Versehen.
- Eine freiwillige Benennung ist möglich, bringt dann aber dieselben Schutzrechte mit sich. Das gehört bedacht, bevor man es tut.
Dieser Beitrag ordnet ein und ersetzt keine Rechtsberatung.